SOURCE CHECK
アララ株式会社の第2報（2026年11月2日）と、利用企業・自治体10件（横浜市・大阪市の11月3日発表を含む）の公式発表を2026年11月3日17時25分（日本時間）に確認して書いています。第3報はこの時点で未掲載です。
アララを直接使ったことがなくても、アララメッセージでメールを配信している会社のメルマガやお知らせを受け取っていれば、対象になることがあります。自分が対象かどうかは、利用している会社の公式発表で確かめます。
- 利用している店・サービスの公式サイトを、メールのリンクではなく自分のブックマークや検索から開き、「アララ」「情報流出」のお知らせを探します。
- 2026年10月28日〜30日に [email protected] から「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名のメールが届いていたら、本文のURLは開かずに削除します。
- そのメールでカード情報などを入力してしまった場合は、すぐにカード発行会社へ、カード裏面などの公式の番号から連絡します。
「アララの情報流出 約7,700万件」というニュースを見て、「アララなんて知らないけど自分も対象？」と不安になった人のための記事です。公式発表で分かっていることと、まだ分からないことを分けて、何をどの順番で確かめればいいかをまとめました。
こんな人におすすめ
- アララを使った覚えはないが、ニュースを見て自分も対象か気になる人
- 横浜市・大阪市のオンライン申請に利用者登録している人
- カード会社を名乗る不審なメールが届いた人
- メールのリンクを開いた・情報を入力してしまった人
- ☑ 約7,700万件は「メールアドレスの件数」で、人数ではありません（1人が複数のアドレスを持つ場合があるとアララは説明しています）
- ☑ 流出した項目は会社ごとに違います。メールアドレスだけの会社もあれば、氏名などが含まれる会社もあります
- ☑ お知らせが出ていないことは「対象外」の証明ではありません。調査中の会社もあります
アララは、パスワードやクレジットカード情報の入力をメールでお願いすることはないと案内しています。
01何が起きた？アララの情報流出の公式発表
アララ株式会社は、企業向けのメール配信サービス「アララメッセージ」が不正アクセスを受けたと発表しています。2026年11月2日の第2報の主なポイントは次のとおりです。
| 項目 | 公式発表の内容 |
|---|---|
| 持ち出されたメールアドレス | 約7,700万件（現時点の調査・精査中）。人数ではない |
| ほかに含まれる情報 | 氏名・性別・生年月日・電話番号・会員番号・住所など。契約企業によって異なる |
| 対象 | 契約企業の環境のサーバー97台（最大約380社と推計・精査中）。別の共用環境では61社・3,386,187件 |
| クレジットカード番号 | アララのサービスでは一切保有していないと説明 |
| 不審メールの送信 | 2026年10月28日〜30日、カード会社を装うメールが最大約713万通。送信元 [email protected] |
| サービス | 2026年10月31日に全面停止。再開時期は未定 |
区分の間で同じメールアドレスが重なっている可能性があるため、アララは件数を合算していません。件数は今後変わる可能性があり、精査の結果は第3報で知らせるとしています。
出典：アララ株式会社「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第2報・2026年11月2日）、アララ株式会社 インフォメーション一覧
02自分は対象？アララを知らなくても確認する理由
X（旧Twitter）でも「アララなんて知らない」「登録した覚えがない」という声が見られます。アララメッセージは企業がメルマガやお知らせの配信に使うサービスなので、利用者はアララと直接やりとりしていないのが普通です。
注文のために登録したサイトの配信サービスから流出したと知って驚いた、という利用者の投稿です（利用者の声の例で、事実の根拠ではありません）。
確かめる順番
- 最近メルマガや予約確認メールを受け取っている店・サービスを思い出します。
- その会社の公式サイトの「お知らせ」「重要なお知らせ」を、自分で開きます。検索するなら「会社名 アララ」「会社名 情報流出」。
- お知らせがあれば、対象条件（期間・受信したメールの件名など）と流出した項目を確認します。
| 状況 | 次にやること |
|---|---|
| お知らせあり・自分が条件に当てはまる | 流出した項目を確認し、不審な連絡に注意。会社からの個別連絡も公式サイトで真偽を確かめる |
| お知らせあり・条件に当てはまらない | その会社分は対象外の可能性が高い。ほかに使っている会社も確認 |
| お知らせなし・調査中 | 対象外とは言い切れない。時間をおいて公式サイトを再確認 |
アララは、各社の環境が対象かどうかを契約企業に個別に連絡するとしています。利用者向けの個別連絡は、それぞれの会社が判断します。
出典：アララ株式会社「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第2報・2026年11月2日）
03対象企業はどこ？公表済みの会社と確かめ方
2026年11月3日17時25分までに公式発表を確認できた会社・自治体の一部です。すべての対象企業の一覧ではありません。アララは最大約380社と推計しており、今後も発表が増える可能性があります。
| 会社・サービス | 公式発表の内容 |
|---|---|
| 小田急トラベル | 2026年10月8日〜29日に指定の件名のメールを受け取ったアドレス63,006件。メールアドレス以外は対象外との報告。「予約完了のご案内」など別システムのメールだけの人は対象外 |
| 大阪ガス（FitDish） | 2026年10月8日〜29日に配信されたメールアドレス34,489件。氏名・住所・カード情報などは含まれていない |
| キンコーズ・ジャパン | スマートメンバーシップ会員のメールアドレスの流出を確認。件数は確認中。氏名などは現時点で流出を確認していない |
| Zaif | 登録しているのはメールアドレスのみ。対象に含まれるかは調査中 |
| TKC | システムを利用する顧客のメールアドレス最大2,230,812件 |
| 松竹マルチプレックスシアターズ（SMT Members） | 会員のメールアドレスが流出。10月29日・30日には「流出なし」と案内していたが、11月2日に対象と判明。件数は確認中 |
| 都ホテルズ＆リゾーツ（都プラス） | メールマガジン配信に同意した会員のメールアドレス129,153件。氏名・住所・パスワードなどの漏えいはないと説明 |
| 横浜市（電子申請・届出システム） | 委託先TKC経由。利用者メールアドレス・利用者名などが漏えいした可能性。漏えい件数・影響の有無は確認中（約82万件は利用者登録数） |
| 大阪市（行政オンラインシステム） | 委託先TKC経由。利用者のメールアドレスや氏名等が漏えいした可能性。対象件数は漏えいの有無も含めて確認中 |
| 姫路市（オンライン手続きポータルサイト） | 委託先TKC経由。メールアドレス・氏名等が漏えいした可能性（カード情報は含まない）。申請完了通知などのメールが止まっている |
同じ会社でも、受け取ったメールの種類や期間で対象かどうかが変わることがあります（小田急トラベルの例）。「その会社の利用者全員が対象」とは限らないので、各社の条件を読んで確かめます。
松竹マルチプレックスシアターズやキンコーズ・ジャパンのように、最初は「対象外」と案内したあと、アララの第2報を受けて「対象だった」と訂正した会社があります。一度「対象外」と見た会社も、もう一度お知らせを確認してください。
松竹のSMT Membersに波及し、「漏えいなし」の説明が訂正されたことを伝える投稿です。
一覧にない会社は「未確認」という意味で、対象外という意味ではありません。
出典：小田急トラベル「アララ株式会社で発生した不正アクセスに伴うメールアドレスの漏えいについて」、大阪ガス「当社委託先のメール配信サービスへの不正アクセスによるお客さま情報の流出について」、キンコーズ・ジャパン「アララメッセージへの不正アクセスによるお客様のメールアドレス流出に関するお詫びとお知らせ（第一報）」、Zaif「業務委託先（アララ株式会社）への不正アクセスに伴う情報流出の可能性について」、TKC「メール配信委託先への不正アクセスによる情報漏えいに関する件（第2報）」、松竹マルチプレックスシアターズ「SMT Members会員情報の流出に関するお詫びとお知らせ」、都ホテルズ＆リゾーツ「業務委託先におけるメール配信サービスへの不正アクセスによるメールアドレス漏えいに関するお詫びとお知らせ」、姫路市「姫路市オンライン手続きポータルサイトの委託先における不正アクセスに伴う個人情報漏えいの可能性と一部サービスの停止について」
04横浜市・大阪市のオンライン申請を使っている人へ
横浜市と大阪市は2026年11月3日、オンライン申請のシステムが使っているメール配信サービス（アララメッセージ。委託先はどちらもTKC）について、利用者の情報が漏えいした可能性があると発表しました。どちらの市も、市のシステム本体への不正アクセスは発表していません（大阪市は「確認されていない」と明記）。
| 項目 | 横浜市（電子申請・届出システム） | 大阪市（行政オンラインシステム） |
|---|---|---|
| 漏えいした可能性がある情報 | 利用者メールアドレス、利用者名など | 利用者のメールアドレスや氏名等 |
| 件数 | 漏えい対象件数は確認中。利用者登録数は約82万件（個人・事業者のアカウント数、11月2日時点） | 漏えいの有無も含めて確認中 |
| 今使えないこと | 利用者登録、メールアドレス変更、パスワード再設定。メールの二要素認証ができずログインできない。確認メールが届かない（ログイン不要の手続きは影響なし） | 利用者登録、メールアドレス変更、パスワード再設定。メール送信以外の機能は利用できる |
| メールが止まった時刻 | 10月31日17時40分ごろ | 10月31日17時40分ごろ |
| 復旧 | 新たな事実は市のウェブサイト等で知らせる | 復旧見込みは未定 |
「約82万件」は横浜市の利用者登録数で、漏えいが確定した件数ではありません。また、報道で出ている「最大223万812件」は、TKCのシステム全体の利用者のメールアドレスの件数（TKC第2報）で、大阪市だけの件数ではありません。
- 不審なメールやSMSに注意し、身に覚えのないメールのURLや添付ファイルは開かない（両市）
- ID・パスワード、暗証番号、クレジットカード情報などを入力しない、返信しない（両市）
- クレジットカード会社を装ったメールが届いたら、URLを開かずに削除する（大阪市）
- 市民に特定の対応が必要になったら、システムの「お知らせ」や市のホームページで知らせる（大阪市）
今のところ、市民がパスワードを変えるなどの特定の操作を求められてはいません。市を名乗って「再登録」「申請の不備」などのリンクを送ってくるメールがあっても開かず、市の公式サイトから確かめます。
出典：横浜市「横浜市電子申請・届出システムが使用するメール送信サービスにおける個人情報の漏えいの可能性について」（記者発表資料・2026年11月3日）、大阪市「大阪市行政オンラインシステムにおいて利用するメール配信サービスでの情報漏えいの可能性について（第1報）」（2026年11月3日13時発表）
05不審メールが届いた｜本物か見分ける前に避ける操作
今回は、アララのサービスそのものが悪用され、カード会社を装う不審メールが送られています。送信元が正規の配信サービスだったため、差出人のアドレスだけでは見分けられません。
実際に詐欺メールが届いたという投稿です。投稿内の推測は個人の見方で、公式に確認されたものではありません。
| 項目 | 内容 |
|---|---|
| 期間 | 2026年10月28日〜30日（10月30日13時32分を最後に新たな送信は確認されていない） |
| 送信元 | [email protected] |
| 件名 | 「利用内容確認のご依頼」「ご利用明細確認のご依頼」など |
| 送信先 | 第三者が外部から持ち込んだメールアドレス |
アララは、この不審メールの送信先は第三者が外部から持ち込んだアドレスだと説明しています。不審メールが届いた＝情報流出の対象、とは限りません。
避ける操作
- メール内のURLを開く、添付ファイルを開く
- ID・パスワード・カード情報・認証コードを入力する
- メールに書かれた電話番号に電話する（番号はカードの裏面や公式アプリで調べる）
アララは、同社や契約企業を名乗るメール・SMS・電話・郵便物にも注意するよう呼びかけています。本物のお知らせかどうか迷ったら、メールからではなく公式サイトを自分で開いて同じ内容が出ているか確かめます。
出典：アララ株式会社「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第2報・2026年11月2日）
06開いた・入力した・支払ったときの順番
| 状況 | 優先してやること |
|---|---|
| 開いていない | 操作せず削除。公式のお知らせを確認 |
| 開いたが入力・ダウンロードはしていない | ページを閉じ、それ以上操作しない |
| ID・パスワードを入力した | そのサービスの正規サイトやアプリからパスワードを変更。同じパスワードを使い回しているサービスも変更し、ログイン履歴や二段階認証を確認 |
| カード情報を入力した・支払った | すぐにカード発行会社や金融機関に公式の連絡先から連絡。日時・入力した内容を控える |
アララは、リンク先でカード情報などを入力した場合は速やかにカード発行会社に連絡するよう案内しています。身に覚えのない請求がないかは、身に覚えのない請求が来た｜払う前にやる順番（PayPayカード／楽天カード／三井住友カードの違い）の手順で確かめられます。
メールアドレスが流出しただけなら、すべてのサービスのパスワードを一斉に変える必要があるとは限りません。漏れた項目と、自分が何を操作したかで対応を分けます。
出典：アララ株式会社「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第2報・2026年11月2日）
07よくある質問
アララからメールが届いていなければ対象外ですか？
判断できません。利用者への連絡はそれぞれの会社が行い、対象の条件も会社ごとに違います。利用している会社の公式発表を確認してください。
メールアドレスだけでカードが不正利用されますか？
アララはクレジットカード番号を保有していないと説明しています。ただ、偽メールでカード情報を入力させる手口には注意が必要です。不審な請求があればカード会社に確認します。
対象企業の一覧はどこで見られますか？
アララは対象企業の一覧を公表していません（2026年11月3日時点）。各社が自社サイトで発表しています。
横浜市・大阪市の電子申請に登録していると、何かする必要がありますか？
2026年11月3日時点で、両市から特定の操作のお願いは出ていません。不審なメールに注意し、必要になれば市が公式サイト等で知らせるとしています。なお横浜市は、メールの二要素認証が止まっているため今はログインできないと案内しています。
メルマガの配信を停止すれば流出した情報は消えますか？
すでに起きた流出が取り消されるわけではありません。今後のメールを減らしたい場合の操作です。
アララメッセージはいつ再開しますか？
アララは再開時期を未定としています（2026年11月2日の第2報）。
08まとめ
- アララを知らなくても、利用している会社がアララメッセージを使っていれば対象になることがある。
- 自分が対象かは、利用している会社の公式発表と、その対象条件で確かめる。
- [email protected] からのカード会社を装うメールはURLを開かず削除。入力してしまったらカード会社へ。
- 横浜市・大阪市のオンライン申請の利用者も、氏名・メールアドレスが漏えいした可能性がある（件数は確認中）。市を名乗るメールのリンクは開かず、市の公式サイトで確かめる。
- お知らせがない会社は「未確認」。時間をおいて公式サイトを再確認する。
ほかの配信サービスの事案はCuenote FC情報漏洩｜自分が対象か確かめる方法と届いたメールの見分け方（別の事業者・別の事案です）、お店から漏えいの連絡が来たときの全般的な対処はショップから情報漏えいの連絡が来たら｜項目別にやることにまとめています。
更新履歴：2026年11月3日 初版（アララ第2報と利用企業・自治体8件の発表を2026年11月3日14時ごろに確認）。第3報が出たら更新します。
2026年11月3日17時25分 横浜市・大阪市の発表（11月3日）を追加。アララのお知らせ一覧で第3報が未掲載であることを再確認。
参考 引用元・公式情報
確認日：2026年11月3日（日本時間）
- アララ株式会社「アララメッセージ」への不正アクセスによる情報流出およびサービス停止について（第2報・2026年11月2日）
件数・流出項目・380社推計・カード番号非保有・不審メール（期間/送信元/件名/送信先）・サービス停止と再開未定・利用者へのお願い - アララ株式会社 インフォメーション一覧
第3報の有無（11月3日17時25分 未掲載） - 小田急トラベル「アララ株式会社で発生した不正アクセスに伴うメールアドレスの漏えいについて」
対象期間・件名・63,006件・対象外のメール - 大阪ガス「当社委託先のメール配信サービスへの不正アクセスによるお客さま情報の流出について」
FitDish 34,489件・メールアドレスのみ - キンコーズ・ジャパン「アララメッセージへの不正アクセスによるお客様のメールアドレス流出に関するお詫びとお知らせ（第一報）」
スマートメンバーシップ会員のメールアドレス流出・件数確認中 - Zaif「業務委託先（アララ株式会社）への不正アクセスに伴う情報流出の可能性について」
メールアドレスのみ登録・調査中 - TKC「メール配信委託先への不正アクセスによる情報漏えいに関する件（第2報）」
最大223万812件 - 松竹マルチプレックスシアターズ「SMT Members会員情報の流出に関するお詫びとお知らせ」
メールアドレス流出・以前の対象外案内の訂正 - 都ホテルズ＆リゾーツ「業務委託先におけるメール配信サービスへの不正アクセスによるメールアドレス漏えいに関するお詫びとお知らせ」
都プラス129,153件 - 横浜市「横浜市電子申請・届出システムが使用するメール送信サービスにおける個人情報の漏えいの可能性について」
利用者登録数約82万件・漏えい件数確認中・使えない機能・お願い - 大阪市「大阪市行政オンラインシステムにおいて利用するメール配信サービスでの情報漏えいの可能性について（第1報）」
メールアドレスや氏名等・件数確認中・お願い - 姫路市「姫路市オンライン手続きポータルサイトの委託先における不正アクセスに伴う個人情報漏えいの可能性と一部サービスの停止について」
TKC経由・メールアドレス氏名等の漏えい可能性・メール通知停止
コメント